composants VoIP Android

Huit vulnérabilités observées dans les composants VoIP d’Android

Les vulnérabilités dans les composants VoIP d’Android

Début octobre, trois universitaires ont souhaité approfondir les recherches existantes sur Android. Ils se sont ainsi intéressés pour la première fois aux composants VoIP d’Android. Leur travail leur a permis d’identifier huit vulnérabilités, l’exploitation de plusieurs d’entre elles pouvant avoir de lourdes conséquences. Découvrons effectivement comment des hackers pourraient les exploiter.

L’espionnage des appels VoIP via VKontakte

Les universitaires ont mis en lumière un bug dans l’interaction de l’API Android Intent avec l’application VKontakte. Ainsi, si un hacker parvient à infecter un terminal mobile (découvrir comment choisir un smartphone pour son entreprise) et à y installer une application malveillante, celle-ci pourra débuter une conversation téléphonique via VKontakte. Or, le pirate informatique n’en ratera pas une miette puisqu’il pourra espionner les appels.

Un premier bug dans les composants VoIP qui fait froid dans le dos.

Des transferts d’appel non désirés

En utilisant deux API d’un composant VoIP d’Android, des applications malveillantes pouvaient transférer les appels entrants sur un terminal mobile vers un autre terminal.

Toutefois, un correctif a été apporté à cette vulnérabilité et son exploitation n’est donc plus possible.

Un téléphone rendu inopérant

Pouvant être menée à distance, cette attaque consiste pour un hacker à initier un appel entrant vers le terminal mobile cible, et ce en utilisant un numéro SIP de 1043 caractères.

Un tel numéro SIP va occuper tout l’écran de la victime et celle-ci ne pourra pas prendre l’appel ou bien le refuser. Pire, si les appels sont répétés, cela peut bloquer le téléphone quelques minutes, un délai suffisamment important pour qu’un attaquant puisse en toute tranquillité corrompre un compte de messagerie par exemple…

Notez que plusieurs autres vulnérabilités identifiées permettaient également de conduire une attaque par déni de service via des appels entrants.

L’exécution de code à distance

Voici assurément la pire vulnérabilité affectant les composants VoIP d’Android, et ce jusqu’à la version 9.0 du système d’exploitation. Fort heureusement, cette faille a aujourd’hui été colmatée.

Son exploitation donnait la possibilité à un hacker d’exécuter du code malveillant à distance via un simple appel VoIP (aller plus loin en découvrant notre offre de téléphonie VoIP). Eh oui, il suffisait de

provoquer un dépassement de tampon avec un nom d’utilisateur dépassant 513 octets lors de l’appel VoIP.

Vraiment problématique…

Google a pris très au sérieux tous ces problèmes et a énormément travaillé pour fournir des correctifs performants et permettant aux utilisateurs de smartphones Android de ne rien craindre des composants VoIP

partager cet article

Partager sur facebook
Partager sur twitter
Partager sur linkedin
Partager sur pinterest
Partager sur print
Partager sur email